AI Act en France : la CNIL en première ligne, la loi en attente
Le Sénat a voté en février 2026 un texte qui confie à la CNIL l’essentiel du contrôle de l’IA en France. Les députés ne l’ont pas encore adopté : le point.
L’essentiel
- Le Sénat a adopté le 18 février 2026 un projet de loi qui fait de la CNIL l’autorité principale de contrôle de l’AI Act en France.
- D’autres autorités garderaient un rôle, comme la DGCCRF pour la formation professionnelle ou l’ACPR pour le crédit et l’assurance.
- Transmis à l’Assemblée nationale le 20 février 2026, le texte n’y a toujours pas été voté au 3 novembre 2026.
Un texte voté au Sénat, pas encore une loi
L’AI Act, le règlement européen sur l’intelligence artificielle, s’applique directement dans tous les États membres. Chaque pays doit toutefois désigner les autorités chargées de le faire respecter. En France, ce choix passe par le projet de loi « portant diverses dispositions d’adaptation au droit de l’Union européenne », un texte qui ajuste le droit français à de nombreux règlements européens.
Le Gouvernement l’a déposé au Sénat le 10 novembre 2025, en procédure accélérée (une seule lecture par assemblée avant une éventuelle commission mixte paritaire). Les sénateurs l’ont adopté le 18 février 2026, après avoir voté l’amendement n° 442 du Gouvernement consacré à l’IA.
Le texte a été transmis à l’Assemblée nationale le 20 février 2026 et renvoyé à la commission des affaires économiques. Quatre autres commissions ont été saisies pour avis le 23 avril 2026. Depuis, les dossiers législatifs des deux assemblées ne mentionnent ni vote des députés, ni commission mixte paritaire, ni promulgation. Le schéma décrit ci-dessous peut donc encore évoluer.
Ce que ferait la CNIL
L’amendement modifie la loi Informatique et libertés de 1978. La CNIL deviendrait autorité de surveillance du marché au titre de l’AI Act, avec des pouvoirs d’injonction et de sanction. Elle contrôlerait notamment :
- la plupart des pratiques interdites par l’article 5 de l’AI Act, par exemple la notation sociale ou la reconnaissance des émotions sur le lieu de travail ;
- certaines obligations de transparence de l’article 50, celles qui visent la reconnaissance des émotions et la catégorisation biométrique ;
- plusieurs familles de systèmes à haut risque listées à l’annexe III, dont la biométrie et l’emploi (recrutement, gestion du personnel).
Une quinzaine d’autorités autour de la CNIL
Selon l’exposé des motifs de l’amendement, d’autres régulateurs garderaient leur domaine. La DGCCRF (répression des fraudes) serait compétente pour les systèmes d’IA utilisés dans la formation professionnelle, et partagerait avec la CNIL le contrôle de la notation sociale. L’ACPR, qui supervise banques et assurances, suivrait les outils servant à évaluer la solvabilité, le risque ou le tarif proposé à une personne. La CNIL devrait saisir l’Arcom pour les dossiers liés aux plateformes en ligne, au pluralisme ou aux élections.
Banque des Territoires compte au total une quinzaine d’entités sectorielles, avec une coordination confiée à la DGCCRF et à la Direction générale des entreprises (DGE), et un appui technique de l’ANSSI. Pendant les débats, le sénateur Thomas Dossus a jugé l’ensemble « illisible ».
Côté sanctions, l’astreinte (une pénalité par jour de retard) serait plafonnée à 100 000 euros par jour, sauf pour les systèmes mis en œuvre par l’État. Les amendes renverraient aux plafonds de l’article 99 de l’AI Act, jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial pour les pratiques interdites (le détail des plafonds et le cas des PME).
La CNIL se prépare déjà
Dans son programme de travail publié le 7 avril 2026, la CNIL indique se préparer à être désignée autorité de surveillance du marché pour l’AI Act. Ses contrôles prioritaires de 2026, annoncés le 3 avril, portent notamment sur le recrutement : systèmes de décision automatisée, information des candidats et durées de conservation des données. Les grandes entreprises et les cabinets de recrutement sont visés en priorité. La CNIL présente ce thème comme une préfiguration de son futur rôle sur l’IA dans le monde du travail.
Pour votre entreprise
Ce que ça change pour une entreprise en Guadeloupe
Pour une entreprise, une association ou une collectivité de Guadeloupe, ce flou institutionnel ne suspend aucune règle. L’AI Act s’applique, qu’une loi française ait ou non désigné ses autorités. Et la CNIL contrôle déjà tout ce qui touche aux données personnelles, IA comprise. Trois réflexes utiles dès maintenant :
- si un outil trie ou note des candidatures pour vous, vérifiez qu’une personne examine réellement chaque décision et que les candidats sont informés : c’est l’un des axes de contrôle 2026 de la CNIL ;
- si vous êtes organisme de formation et utilisez l’IA pour orienter ou évaluer des stagiaires, retenez que la DGCCRF serait votre interlocuteur dans le schéma voté au Sénat ;
- tenez à jour la liste des outils d’IA utilisés dans votre structure et les règles qui les encadrent. Une charte d’usage de l’IA en est la base, et notre guide IA et RGPD couvre le volet données.
Sources
- Dossier législatif : projet de loi portant diverses dispositions d’adaptation au droit de l’Union européenne (nouvel onglet) · Sénat
- Projet de loi Adaptation au droit de l’Union européenne, amendement n° 442 (nouvel onglet) · Sénat,
- Dossier législatif du projet de loi n° 2518 (nouvel onglet) · Assemblée nationale
- Le Sénat valide une régulation de l’IA en mode puzzle (nouvel onglet) · Banque des Territoires (Localtis),
- Accompagnement des professionnels : le programme de travail de la CNIL pour 2026 (nouvel onglet) · CNIL,
- Les contrôles en 2026 : recrutement, répertoire électoral unique et fédérations sportives (nouvel onglet) · CNIL,